Techno Cnil contre Google: le début d'une longue bataille juridique sur les données privées

L'amende de 50 millions d'euros infligée lundi à Google par la Cnil au nom de la défense de la vie privée n'est probablement que le début d'une longue série de batailles juridiques, cruciales pour le secteur de la publicité en ligne, estiment les juristes.

Google s'est fait condamner par le gendarme des données personnelles français pour n'avoir pas recueilli dans les formes le consentement de ses utilisateurs à l'exploitation de leurs données personnelles.

L'utilisation de ces données pour faire de la publicité ciblée est au coeur du modèle économique de Google, mais aussi de tout un écosystème de sociétés spécialisées qui s'interroge sur la portée et les conséquences de la décision de la Cnil (Commission nationale de l'informatique et des libertés).

Celle-ci "est la première d'une longue série", estime auprès de l'AFP Sylvain Staub, avocat spécialisé en droit de la donnée, pour qui d'autres sociétés vont être contestées pour leur manière d'exploiter les données personnelles.

D'autres plaintes collectives ont d'ores et déjà été déposées dans plusieurs pays européens. En France, la Quadrature du Net, à l'origine d'une des deux plaintes ayant généré l'enquête de la Cnil sur Google, en avait ainsi déposé en même temps fin mai contre Apple, Facebook, Amazon et Microsoft.

"Aujourd'hui a été établi un élément fondamental de la nouvelle économie numérique: les utilisateurs doivent être en situation de confiance", explique Sylvain Staub. "Quand les personnes utilisent Google, elles doivent se dire +mes données sont utilisées tel que je le souhaite, et pas au delà, uniquement par Google et pas par Google Home ou par YouTube ou je ne sais quelle société rachetée par Google+".

Or "c'est une évidence qu'aujourd'hui personne n'a confiance dans personne, alors que c'est extrêmement important si on veut que l'économie de la donnée se développe", a-t-il ajouté.

"Nos cinq prochaines années de boulot ont démarré aujourd'hui", a ironisé de son côté Etienne Drouard, avocat associé du cabinet K&L Gates, spécialiste de la nouvelle législation européenne sur les données personnelles (RGPD) sur laquelle la Cnil s'est appuyée.

Le RGPD donne en effet de nouvelles armes aux gendarmes européens des données personnelles, en leur permettant d'imposer des amendes allant jusqu'à 4% du chiffre d'affaires aux entreprises ne respectant pas la vie privée des utilisateurs de leurs services, notamment à des fins de publicité ciblée.

- Assainir le marché -

Pour Etienne Drouard, la Cnil "a posé une pierre dans le jardin" en sanctionnant les pseudo-consentements que demande Google. Toutefois "elle n'a pas construit la maison autour, la maison de l'économie numérique européenne". Il faut commencer "enfin à débattre du sujet, articuler la protection des données avec l'intérêt légitime mercantile des entreprises", indique-t-il à l'AFP.

Un débat qui pourrait mettre des années à être tranché, à l'image d'un autre bras de fer entre la Cnil et Google, sur la portée d'application (européenne ou mondiale) du "droit à l'oubli", qui permet à tout Européen de faire supprimer, sous conditions, des liens qui s'affichent dans un moteur de recherche après une requête portant sur son nom.

En 2016, la Cnil avait infligé à Google une amende de 100.000 euros, lui reprochant de limiter ce droit aux seules versions européennes de son moteur de recherche. L'affaire est toujours aux mains de la Cour de justice européenne de Luxembourg.

Pour Merav Griguer, avocate spécialiste des données au cabinet Bird&Bird, il faut toutefois éviter les diagnostics trop pessimistes pour les sociétés actives dans la publicité ciblée.

"Ce n'est pas le secteur d'activité dans sa globalité qui a été touché", dit-elle à l'AFP, "c'est Google qui est personnellement et spécifiquement visé, par ses dispositifs, ses mécanismes de fonctionnement".

"Beaucoup de petits acteurs ont été plus conformes" à la nouvelle législation européenne de protection des données, "notamment en matière d'information, de transparence", estime-t-elle. La décision de la Cnil "va avoir aussi pour effet d'assainir le marché".

La Quadrature du Net n'a en tout cas pas l'intention de s'arrêter là.

Après cette première décision, "nous attendons de la Cnil qu'elle se prononce très prochainement sur la suite des décisions auxquelles notre plainte appelle", a-t-elle indiqué. "Ces décisions devront aborder frontalement la question du +consentement libre+ et prévoir une sanction d'un montant proportionné à la situation, bien au-delà de 50 millions d'euros."